O ChatGPT Sites está recebendo no Enterprise um preview administrativo, hospedagem regional para novos Sites em workspaces elegíveis e túneis para serviços de rede privada. A atualização de 15 de outubro de 2026 amplia o uso corporativo, mas também separa decisões que não devem ser confundidas: autorização para criar, permissão para publicar, região de armazenamento e residência da inferência do modelo.
Use o preview antes de liberar a criação
O preview administrativo permite que responsáveis avaliem quem poderá criar e compartilhar Sites antes de habilitar o recurso para os membros. Em workspaces Enterprise, a publicação pública continua desligada por padrão e exige uma autorização separada.
Essa separação ajuda a testar Sites internos sem abrir automaticamente uma superfície pública. Defina grupos pilotos, tipos de conteúdo permitidos, responsável pelo site, dados proibidos e processo de retirada. Um site deve ter dono operacional e uma data de revisão, não apenas um criador inicial.
Diferencie criação, compartilhamento e publicação pública
Criar um Site, compartilhar com pessoas autorizadas e tornar o endereço público são ações diferentes. Organizações devem conceder cada permissão conforme função e risco. Uma equipe pode construir um painel interno sem receber poder para publicá-lo na internet.
Antes de permitir acesso público, revise autenticação, informação sensível, direitos sobre imagens e textos, dados pessoais, links de conversão e responsáveis pela manutenção. A URL pública facilita distribuição, mas também pode ser indexada, compartilhada e copiada fora do contexto original.
- Defina criadores, editores, aprovadores e visitantes
- Mantenha publicação pública como permissão separada
- Classifique dados que podem aparecer em Sites
- Registre mudanças, versão e responsável por cada publicação
- Planeje retirada, correção e resposta a incidente
Entenda o alcance da residência de dados
Para workspaces com residência nos Estados Unidos ou na União Europeia, novos Sites passam a usar a região já configurada para armazenamento e hospedagem compatíveis. Sites existentes não são migrados automaticamente. Em outras regiões, o ajuste regional do workspace ainda não se aplica ao armazenamento e à hospedagem de Sites.
A OpenAI afirma que hospedagem regional de Sites é diferente de residência de inferência, que trata do processamento pelos modelos. Portanto, um site armazenado em uma região não prova que todas as operações, conectores, logs e inferências ocorreram no mesmo local. Valide contrato, suboperadores, retenção e fluxo completo de dados.
Conecte serviços privados com túneis e menor privilégio
Os túneis estão sendo liberados para workspaces Enterprise elegíveis e permitem conectar Sites a serviços na rede privada sem expor esses serviços diretamente à internet. A conexão do túnel e a publicação pública de um Site que o utiliza exigem permissões separadas.
Trate o túnel como acesso privilegiado. Restrinja destinos, métodos, credenciais e volume; prefira leitura quando suficiente; registre chamadas; limite tempo de vida; e bloqueie movimentação lateral. Um Site público não deve transformar uma rota privada em API aberta por falta de autorização no backend.
Faça uma avaliação de risco por caso de uso
Um catálogo público, um painel interno de projetos e um portal conectado a dados de clientes têm riscos diferentes. Para cada caso, mapeie visitantes, fontes, ações, informação exibida, impacto de erro e necessidade de atualização. Comece pelo cenário com menor sensibilidade e maior capacidade de verificação.
Teste acesso indevido, URL compartilhada, cache, erro de permissão, dado desatualizado, indisponibilidade do conector e tentativa de instrução maliciosa. Confirme que o Site falha de forma segura e não revela detalhes de infraestrutura, segredos ou registros de outras pessoas.
Adote um checklist de produção
Antes de publicar, valide conteúdo, permissões, domínio, acessibilidade, privacidade, observabilidade, backup e processo de aprovação. Execute testes com usuários de cada função e confirme que o conteúdo público não depende de uma credencial pessoal difícil de revogar.
Depois da publicação, acompanhe disponibilidade, erros, acessos e versões. Reavalie permissões quando pessoas mudarem de função e retire Sites sem proprietário ou finalidade ativa. Governança contínua é mais importante do que a aprovação inicial.
Para levar daqui
Os novos controles do ChatGPT Sites ajudam a separar criação, publicação, região e conexão privada. A adoção segura depende de permissões por função, dados classificados, menor privilégio, testes de acesso e revisão contínua de cada Site.
